Vediamo quali sono le principali differenze!
Il phishing è fondamentalmente una versione online della pesca, solo che al posto della fauna marina, l’obiettivo è quello di attirare gli utenti creduloni a rivelare password e informazioni personali facendo clic su un link dannoso o aprendo un allegato e gli attacchi tipici sono inviati tramite e-mail inviata a milioni di persone, quindi un attacco generalizzato.
Lo spear phishing invece, è altamente mirato. L’obiettivo è compromettere le credenziali di una persona specifica, come il CEO o il CFO di un’azienda con una messaggistica realizzata con cura. I criminali studiano i post e i profili dei social media per ottenere quanti più dati possibili sulla vittima. Possono anche ottenere l’accesso all’e-mail della persona e rimanere invisibili per mesi, mentre valutano il tipo di traffico in entrata.

Le e-mail di phishing si rivolgono a grandi quantità di persone piuttosto che a individui specifici. Ad esempio, un’e-mail potrebbe essere inviata a migliaia di persone o a tutti i dipendenti di un’azienda, dicendo loro che l’IT vuole che verifichino le loro credenziali cliccando su un link e inserendole in un modulo.

Lo spear phishing è più specifico. Ad esempio, l’assistente di un amministratore delegato potrebbe essere presa di mira da un criminale che si spaccia per un’e-mail dell’amministratore delegato. L’hacker ha monitorato i messaggi di posta elettronica e i social media per mesi e sa che sta per concludersi un grosso affare in un momento in cui l’amministratore delegato si trova all’estero, concludendo l’affare. Il criminale invia quindi un’e-mail che sembra provenire dall’amministratore delegato o addirittura dall’account dell’amministratore delegato, dicendo all’assistente che c’è stato un cambiamento di programma e che deve trasferire immediatamente X milioni su un nuovo conto.